跨域
当我们在做前后端分离项目的时候，Tomcat往往并不是将前端页面和后端程序统一部署的，一般我们会有一个单独的部署静态html的服务器，那么此时前端的服务器如果想要访问后端的服务器时候，浏览器默认是会拦截这个操作的，因为浏览器有一种叫做同源策略（Same origin policy）的安全机制。
同源策略（Same origin policy）是一种约定，它是浏览器最核心也最基本的安全功能，如果缺少了同源策略，则浏览器的正常功能可能会受到影响。可以说Web是构建在同源策略基础之上的，浏览器只是针对同源策略的一种实现。
同源策略是浏览器的行为，是为了保护本地数据不被JavaScript代码获取回来的数据污染，浏览器会先发送OPTION请求进行预检查,判断服务器是否允许跨域,如果允许才发送真正的请求,否则抛出异常。
那么，我们总结一下什么叫做跨域？
- 当一个请求url的协议、域名、端口三者之间任意一个与当前页面url不同即为跨域。
什么时候回产生跨域问题呢？
- 浏览器在解析执行一个网页时,如果页面中的js代码请求了另一个非同源的资源,则会产生跨越问题，而浏览器直接跳转另一个非同源的地址时不会有跨域问题
如何解决跨域问题呢？
既然禁止跨域问题时浏览器的行为,那么只需要设置浏览器运行解析跨域请求的数据即可,但是这个设置必须放在服务器端,由服务器端来判断对方是否可信任，在响应头中添加一个字段,告诉浏览器,某个服务器是可信的。
public class AServlet extends javax.servlet.http.HttpServlet {
protected void doPost(javax.servlet.http.HttpServletRequest request, javax.servlet.http.HttpServletResponse response) throws javax.servlet.ServletException, IOException {
}
protected void doGet(javax.servlet.http.HttpServletRequest request, javax.servlet.http.HttpServletResponse response) throws javax.servlet.ServletException, IOException {
//设置允许跨域，其中*表示允许所有地址访问
response.setHeader("Access-Control-Allow-Origin","*");
String s = "{"name":"jack"}";
response.getWriter().println(s);
}
}
还有一些其他的相关设置
//指定允许其他域名访问
'Access-Control-Allow-Origin:http://XXX.XXX.XXX'//一般用法（*，指定域，动态设置），注意*不允许携带认证头和cookies
//预检查间隔时间
'Access-Control-Max-Age: 1800'
//允许的请求类型
'Access-Control-Allow-Methods:GET,POST,PUT,POST'
//列出必须携带的字段
'Access-Control-Allow-Headers:x-requested-with,content-type'
状态保持问题和JWT
在传统项目中，我们把登录后的用户信息一般存放在cookie和session中，但这在前后端分离项目中出现了问题。sessionid是使用cookie存储在客户端的,而cookie遵守同源策略,只在同源的请求中有效。虽然我们可以在cookie中指定domain来解决,但是cookie必须针对性的设置作用域，这对于有多个不同域要共享cookie时,可操作性差,难以维护。
另外在分布式架构中，共享session和cookie也是一大问题,必须引入第三方来完成session的存储和共享(也可通过中间层做cookie转发如Nginx,Node.js),这也是传统单体服务无法支持分布式和集群的问题所在。
为了解决以上问题，我们需要一种新的状态保持方法：JWT(json WEB token)
JWT的工作流程
回顾,之所以使用session和cookie是因为HTTP的无状态性质,导致服务器无法识别多次请求是否来自同一个用户。
JWT可以对用户信息进行加密生成一个字符串,下发到客户端,客户端在后续请求中携带该字符串,服务器解析后取出用户信息,从而完成用户身份的识别,如下图:
简而言之，JWT就是一串加密后的字符串，长这个样子：
中间由“.”分割成三部分，
-
Header（头部）
Header 部分是一个 JSON 对象，描述 JWT 的元数据，例如签名算法等,像下面这样:{ "alg": "HS256", "typ": "JWT" }alg属性表示签名的算法，默认是 HMAC SHA256;
typ属性表示这个令牌(token)的类型统一写为JWT
最后使用base64URL算法转换为字符串;
-
Payload（负载）
Payload 部分也是一个 JSON 对象，用来存放真正需要传递的数据,JWT 规定了7个保留字段,如下:iss (issuer)：签发人 exp (expiration time)：过期时间 sub (subject)：主题 aud (audience)：受众 nbf (Not Before)：生效时间 iat (Issued At)：签发时间 jti (JWT ID)：编号 -
Signature（签名）
部分是对前两部分的签名，防止数据篡改。签名时需要指定一个密钥（secret）。密钥只有服务器才知道，不能泄露给用户。然后使用 Header 里面指定的签名算法（默认是 HMAC SHA256）
JWT的优点和缺点？
优点：
-
满足REST Full的无状态要求(为了提高系统的扩展性,REST要求所有信息由请求端来提供,如此才使得JWT成为了分布式,集群构架的首选方式)
-
在分布式,集群系统,前后端分离中使身份验证变得非常简单
-
可用于其他数据交换
-
合理的使用可减少数据库查询次数
缺点：
-
对于同样的数据JWT整体大小超过cookie,这会增加网络开销
-
服务器每次解析JWT都需要再次执行对应的算法,这将增加系统开销
-
在传统单体服务,和WEBApp形式的前后端分离项目中使用JWT反而不如Session+cookie
简单的JWT案例
首先我们要导入几个jar包
import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTCreator;
import com.auth0.jwt.algorithms.Algorithm;
import com.fasterxml.jackson.databind.util.TokenBuffer;
import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.util.Date;
@WebServlet(name = "Servlet" ,urlPatterns = "/test")
public class Servlet extends HttpServlet {
protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
}
protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
String name = request.getParameter("name");
String pwd = request.getParameter("pwd");
response.setContentType("application/json;charset=utf-8");
if(name.equals("jeason") && pwd.equals("123") ){
//生成一个Token，返回给客户端
JWTCreator.Builder builder = JWT.create();
//指定算法，传入一个秘钥
Algorithm algorithm = Algorithm.HMAC256("2341234SKDJFALSJFLKAJSDKJ");
//支持链式调用
String Token = builder
.withSubject("test this jwt")//设置主题
.withExpiresAt(new Date(new Date().getTime() + (1000 * 60 * 30)))//设置时间
.withClaim("userID", "No.001")//负载数据（用户自定义）
.sign(algorithm);
System.out.println("Token is:"+ Token);
//将Token放入响应头
response.setHeader("Token",Token);
response.getWriter().println("登陆成功");
}else {
response.getWriter().println("登录失败");
}
}
}
这样，我们就简单的实现了，登录后由服务器给客户端发送一个标记信息的Token。
另外，我们还可以写一个简单的例子来检查收到的请求是否包含正确的Token：
import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTVerifier;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.exceptions.JWTVerificationException;
import com.auth0.jwt.interfaces.DecodedJWT;
import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
@WebServlet(name = "CheckServlet",urlPatterns = "/check")
public class CheckServlet extends HttpServlet {
protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
}
protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
//取出Token
String token = request.getHeader("Token");
if(token != null){
//检查Token是否有效，主要看是否过期，以及是否被篡改
//指定算法，传入一个秘钥
Algorithm algorithm = Algorithm.HMAC256("2341234SKDJFALSJFLKAJSDKJ");
JWTVerifier verifier = JWT.require(algorithm).build();
try{
verifier.verify(token);
DecodedJWT decode = JWT.decode(token);
String userID = decode.getClaim("userID").asString();
System.out.println(userID);
response.getWriter().println("Token 验证成功！！");
}catch ( JWTVerificationException e ){
System.out.println("Token 过期或者被篡改！！");
response.getWriter().println("Token 过期或者被篡改！！");
}
}else{
System.out.println("NO token");
}
}
}